Splunk、PHP脆弱性の影響を調査、主要製品は影響なしと案内

Splunkは2026年10月22日、PHPの重大な脆弱性2件に関する勧告「SVD-2026-1013」を公開しました。現時点で影響が確認された同社製品はありませんが、一部製品は調査中です。利用企業は、Splunk製品を一括して判断せず、製品名ごとに確認状況を分けて管理する必要があります。

PHPの修正公開を受け、製品への影響を調査

PHP Foundationは2026年10月21日、重大な脆弱性2件の修正版を公開しました。Splunkによると、対象は「CVE-2026-109618」と「CVE-2026-109619」で、2件は「PHP2shell」と呼ばれています。

CVE-2026-109618はOOM破損、CVE-2026-109619は古いグローバル状態に起因するものです。いずれもRCEと呼ばれる、遠隔からコードを実行される恐れのある脆弱性です。

Splunkは、影響を受ける製品の有無と各製品への影響を調べています。新たな情報が得られ次第、勧告を更新する方針です。PHPの修正版が公開されたことと、Splunk製品への影響が確認されたことは別です。今回の勧告を、同社製品で被害が発生したという意味で扱わないようにしてください。

「影響なし」と「調査中」を分けて確認

Splunk EnterpriseやSplunk Cloud Platformなどは「影響なし」とされています。一方、AppDynamics SaaSとSmartlookは「調査中」です。同じAppDynamicsでも、On-PremisesとPHP Agentは「影響なし」で、SaaSとは判定が異なります。

注意したいのはSplunk Observability Cloudです。資料の製品一覧には「影響なし」と「調査中」が併記されています。この情報だけでは判定を一つに絞れないため、社内の管理記録にも併記の状態を残し、勧告の更新内容を確認するのが適切です。

日本での提供は発表には書かれていません。また、日本向け環境に限定した影響判定も、今回の資料には示されていません。

影響する会社・しない会社

• 影響する: 脆弱性の影響が確認されたSplunk製品を利用する会社は、現時点では示されていません。AppDynamics SaaSまたはSmartlookを利用する会社は、影響確定ではなく、調査結果を追う対象です。
• 影響する: Splunk Observability Cloudを利用する会社は、製品一覧の判定が併記されているため、確認を完了扱いにせず、続報を確認する対象です。
• 影響しない: 勧告で「影響なし」とされたのは、Splunk Enterprise、Splunk Cloud Platform、Splunk Universal Forwarder、Splunk Enterprise Security、Splunk ITSI、Splunk SOAR Cloud、Splunk SOAR、Splunk Apps & Add-ons、AppDynamics On-Premises、AppDynamics PHP Agentです。

この判定は今回の2件に対するものです。「影響なし」という記載を、製品全体に脆弱性がないという意味へ広げないことが重要です。

情シスが今日やること

1. IT資産台帳や契約一覧の製品名欄で、利用中のSplunk製品とAppDynamics製品を確認します。社内で単に「Splunk」と記録している場合は、運用担当者や委託先に正式な製品名を確認してください。
2. 勧告SVD-2026-1013の製品一覧と照合し、管理記録を「影響なし」「調査中」「判定が併記」に分けます。Splunk Observability Cloudは、どちらか一方の判定だけを転記しないようにします。
3. AppDynamics SaaS、Smartlook、Splunk Observability Cloudの利用部門と運用委託先に、現在の確認状況を共有します。「影響が確認された製品はない」ことと、「調査が終わっていない製品がある」ことをセットで伝えてください。
4. 勧告の更新を確認する担当者を決め、次の更新時に製品別の判定を再照合します。今回の資料だけを根拠に全製品を更新対象とせず、更新で示された影響範囲や対応内容に沿って作業を判断してください。